Support Repository Updates und das Patching-Modell von Solaris 11.4: SRUs, CPUs und die Prüfung des installierten Stands

Worum es geht

Oracle Solaris 11.4 kennt keinen eigenen «Patch»-Mechanismus mehr, wie es ihn unter Solaris 10 gab: Updates einzuspielen ist dieselbe IPS-Operation wie das Installieren jedes anderen Pakets. Die gesamte installierte Software wird über ein einziges Incorporation-Paket, entire, verwaltet, dessen Version genau angibt, welcher Update-Stand installiert ist. Oracle liefert Fixes als Support Repository Updates (SRUs) im Support-Repository, ungefähr monatlich. Jede dritte SRU ist zugleich eine Critical Patch Update (CPU) SRU, deren Inhalt stärker auf Sicherheitskorrekturen ausgerichtet ist: «CPU» bezeichnet Oracles quartalsweises Security-Release, und unter Solaris wird es über eine SRU ausgeliefert.

Warum es wichtig ist

Da Updates über den gewöhnlichen pkg update-Weg laufen, gilt das an anderer Stelle dieser Serie beschriebene Sicherheitsnetz der Boot-Umgebungen (pro Update eine neue BE, Rollback mit beadm activate) automatisch auch für das Einspielen von Sicherheitskorrekturen. Ein Agent braucht somit kein separates Verfahren, um Patches zurückzunehmen. Den exakten installierten SRU-Stand zu kennen, ist ausserdem der schnellste Weg, um zu klären, ob auf einem Host ein bestimmter Fix fehlt, denn Oracle ordnet seine SRU-Release-Notes nach SRU-Nummer.

So wird es angewendet

• Den aktuell installierten Update-Stand prüfen: pkg info entire zeigt die Version der Incorporation entire an, und eine SRU «contains only one version of pkg:/entire» (enthält nur eine Version von pkg:/entire). Diese Versionszeichenfolge ist damit der Fingerabdruck des Update-Stands eines Hosts. Unter 11.4 ist die SRU-Nummer das Feld nach 11.4. im Branch: entire@11.4-11.4.0.0.1.15.0 ist das GA-Release von 11.4, 11.4-11.4.1.0.1.4.0 ist SRU 1. Auch die Summary-Zeile nennt den Stand in lesbarer Form. pkg list -af entire zeigt, welche Stände die konfigurierten Publisher anbieten, und pkg update entire@<version> zielt auf eine bestimmte SRU statt auf die neueste.
• Fixes online über https://pkg.oracle.com/solaris/support/ beziehen (erfordert einen Supportvertrag sowie ein installiertes Zertifikat samt Schlüssel) oder für Hosts ohne Internetzugang eine SRU aus My Oracle Support in ein lokales Repository herunterladen.
• Das Update wie jede andere Paketoperation einspielen: pkg update gegen einen Publisher, der auf das Support-Repository (oder einen lokalen Spiegel davon) zeigt. Das daraus folgende Verhalten der Boot-Umgebungen steht im IPS-Artikel dieser Serie.
• SRUs inhaltlich als kumulativ behandeln: Jede «includes all fixes and enhancements that were delivered by previously released SRUs» (enthält alle Fixes und Erweiterungen früherer SRUs), sodass ein Host direkt auf die neueste SRU aktualisiert werden kann, ohne die dazwischenliegenden zu durchlaufen. Nicht kumulativ ist dagegen das herunterladbare SRU-Repository: Es «include[s] only packages for that SRU» und «does not contain any other SRUs» (enthält nur die Pakete dieser SRU und keine anderen SRUs). Ein lokaler Spiegel muss daher auf dem vollständigen Basis-Repository aufgebaut werden, und Oracle empfiehlt, jede SRU monatlich darin zu integrieren.
• Die Lebenszyklusphasen von Oracle kennen: Neue Fixes und Sicherheitsupdates gibt es nur während des Premier Support und, gegen Aufpreis, des Extended Support; Sustaining Support gewährt nur Zugriff auf bereits bestehende Fixes. Die aktuellen Termine für Solaris 11.4 in den Lifetime-Support-Dokumenten von Oracle nachschlagen, statt sich auf eine erinnerte Jahreszahl zu verlassen.

Stolpersteine

• Annehmen, dass pkg update Sicherheitskorrekturen unabhängig von der Publisher-Konfiguration automatisch einspielt: Ist der konfigurierte Publisher das öffentliche Release-Repository (http://pkg.oracle.com/solaris/release/, aktualisiert bei GA-Releases sowie einzelnen FOSS-Updates) und nicht das Support-Repository, sieht pkg update den SRU-Inhalt überhaupt nicht.
• «Solaris 11.4» als einheitliches, statisches Ziel für die Berichterstattung zum Patch-Stand behandeln: Innerhalb eines Major Release ist der SRU-Stand die aussagekräftige Messgrösse, nicht der Release-Name.